Was die Regel besagt

  • 3 Kopien der Daten: das Original und zwei Sicherungen.
  • 2 verschiedene Speicherarten, zum Beispiel ein NAS und eine externe Festplatte oder ein Band, damit ein Fehler einer Gerätesorte nicht alle Kopien trifft.
  • 1 Kopie an einem anderen Ort, damit Brand, Wasserschaden oder Diebstahl nicht Original und Sicherung zugleich vernichten.

Die Regel wird meist dem Fotografen Peter Krogh zugeschrieben, der sie in den 2000er-Jahren für die Archivierung digitaler Fotos beschrieb. Heute gilt sie als Grundregel der Datensicherung in Unternehmen. Sie sagt nichts über Software oder Hersteller, sondern nur darüber, wie viele unabhängige Kopien es geben muss.

Was keine Sicherung ist

RAID. Mehrere Festplatten im Verbund schützen vor dem Ausfall einer Platte. Ein versehentlich gelöschter Ordner ist aber auf allen Platten zugleich gelöscht.

Spiegel und Synchronisation. Ein Ordner, der laufend auf einen zweiten Rechner oder in einen Cloud-Speicher abgeglichen wird, überträgt jede Änderung sofort, auch das Löschen und das Verschlüsseln durch einen Trojaner. Ein Spiegel ist eine Kopie des aktuellen Zustands, keine Rückfallebene auf einen früheren.

Snapshots auf demselben Gerät. Sie helfen bei versehentlichem Löschen. Fällt das Gerät aus oder erlangt ein Angreifer Administratorrechte, sind sie mit weg.

Eine Sicherung im Sinne der Regel ist eine eigenständige Kopie auf einem anderen Gerät, die frühere Stände aufbewahrt und von Änderungen am Original nicht automatisch überschrieben wird.

Erpressungstrojaner und Offline-Kopie

Erpressungstrojaner (Ransomware) verschlüsseln nicht nur die Daten auf dem befallenen Rechner, sondern suchen gezielt nach erreichbaren Sicherungen. Das BSI nennt Offline-Backups deshalb eine der wichtigsten Maßnahmen: Sicherungen, die nach dem Sicherungsvorgang vom Netz getrennt sind und dadurch nicht mitverschlüsselt werden können. Die amerikanische Behörde CISA empfiehlt ebenfalls verschlüsselte Offline-Sicherungen, die regelmäßig getestet werden.

Praktisch heißt das: Mindestens eine Kopie ist entweder physisch getrennt (eine Festplatte, die nach der Sicherung abgezogen und weggeschlossen wird) oder unveränderbar gespeichert, also so, dass sie für eine festgelegte Zeit auch mit Administratorrechten nicht gelöscht oder überschrieben werden kann.

Erweiterungen: 3-2-1-1-0

In der Fachwelt wird die Regel oft zu 3-2-1-1-0 erweitert:

  • die zusätzliche 1: eine Kopie offline oder unveränderbar,
  • die 0: null Fehler bei der Prüfung, also eine Sicherung, deren Wiederherstellung getestet wurde.

Die Erweiterung schreibt nur fest, was die beiden häufigsten Schwachstellen in der Praxis sind: die erreichbare Sicherung und die nie getestete Sicherung.

Generationen und Aufbewahrung

Eine Sicherung, die jede Nacht die letzte überschreibt, hilft nicht, wenn ein Fehler erst nach einer Woche auffällt. Deshalb werden mehrere Stände aufbewahrt. Verbreitet ist das Generationenprinzip (Großvater, Vater, Sohn): tägliche Sicherungen für einige Tage, wöchentliche für einige Wochen, monatliche für Monate. Wie weit die Stände zurückreichen, richtet sich danach, wie spät ein Schaden bemerkt werden kann, und nach gesetzlichen Aufbewahrungs- und Löschpflichten.

Zwei Kennzahlen helfen bei der Planung. Die erste: Wie viele Stunden Arbeit dürfen höchstens verloren gehen? Daraus folgt, wie oft gesichert werden muss. Die zweite: Wie lange darf der Betrieb höchstens stillstehen? Daraus folgt, wie schnell die Wiederherstellung gehen muss. Das BSI verlangt im IT-Grundschutz, diese Werte je System festzulegen.

Der Wiederherstellungstest

Eine Sicherung ist erst dann eine Sicherung, wenn sie sich zurückspielen lässt. Ein Test beantwortet Fragen, die sonst erst im Ernstfall auftauchen: Ist alles drin, auch die Datenbank? Wo liegen die Zugangsdaten zur Sicherung? Wie lange dauert das Zurückspielen wirklich? Funktioniert die Anwendung danach?

Ein sinnvoller Test spielt die Sicherung auf ein getrenntes System zurück, startet die Anwendung und prüft Stichproben, etwa den neuesten Auftrag oder die letzte Rechnung. Das Ergebnis und die gemessene Dauer werden notiert. Das BSI empfiehlt solche Tests regelmäßig, nicht nur einmal bei der Einrichtung.

Fazit

Die 3-2-1-Regel lässt sich in einem Satz merken und deckt die häufigsten Ursachen für Datenverlust ab: Gerätefehler, Schäden am Standort und Angriffe. Entscheidend sind zwei Punkte, die in der Praxis am häufigsten fehlen: eine Kopie, die ein Angreifer nicht erreicht, und ein Test, der zeigt, dass die Rückkehr wirklich gelingt.

Quellen